Ein biometrisches Fernidentifizierungssystem ist nach Artikel 3 Nummer 41 der KI-Verordnung ein KI-System, das dem Zweck dient, natürliche Personen zu identifizieren. Das geschieht ohne ihre aktive Einbeziehung und in der Regel aus der Ferne, durch Abgleich ihrer biometrischen Daten mit den in einer Referenzdatenbank gespeicherten Daten.
Die Verordnung unterscheidet zwei Varianten: das biometrische Echtzeit-Fernidentifizierungssystem (Nummer 42) und das System zur nachträglichen biometrischen Fernidentifizierung (Nummer 43).
Kaum ein anderer Begriff der Verordnung war im Gesetzgebungsverfahren so umkämpft. Das Echtzeit-Verbot im öffentlichen Raum gilt als eines der politisch sichtbarsten Ergebnisse des gesamten Trilogs.
Zusammenfassung
Der Unterschied zwischen den beiden Varianten liegt allein im Zeitfaktor. Ein Echtzeit-System erfasst biometrische Daten, gleicht sie ab und identifiziert die Person ohne erhebliche Verzögerung – die Definition schließt ausdrücklich auch “begrenzte kurze Verzögerungen” ein, um eine Umgehung durch technische Tricks zu verhindern.
Ein System zur nachträglichen Identifizierung ist demgegenüber jedes biometrische Fernidentifizierungssystem, das kein Echtzeitsystem ist – typischerweise der Abgleich bereits gespeicherter Video- oder Bildaufnahmen mit erheblicher zeitlicher Verzögerung.
Das Echtzeit-Verbot im öffentlichen Raum
Artikel 5 Absatz 1 Buchstabe h verbietet grundsätzlich die Verwendung biometrischer Echtzeit-Fernidentifizierungssysteme in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken. Drei eng gefasste Ausnahmen bleiben zulässig, wenn dies für das jeweilige Ziel unbedingt erforderlich ist:
- die gezielte Suche nach bestimmten Opfern von Entführung, Menschenhandel oder sexueller Ausbeutung sowie nach vermissten Personen;
- die Abwehr einer konkreten, erheblichen und unmittelbaren Gefahr für Leben oder körperliche Unversehrtheit oder eines tatsächlichen Terroranschlags; und
- das Aufspüren einer Person, die einer Straftat verdächtigt wird, die im jeweiligen Mitgliedstaat mit mindestens vier Jahren Freiheitsstrafe bedroht ist.
Selbst innerhalb dieser Ausnahmen gelten strenge Schutzmaßnahmen:
- eine grundsätzlich vorherige Genehmigung durch eine Justizbehörde oder unabhängige Verwaltungsbehörde, in dringenden Fällen nachträglich binnen 24 Stunden;
- eine Meldepflicht an Marktüberwachungs- und Datenschutzbehörde; und
- eine jährliche Berichtspflicht der Mitgliedstaaten gegenüber der EU-Kommission, die aggregierte EU-weite Berichte veröffentlicht.
Mitgliedstaaten können innerhalb dieses Rahmens eigene, auch strengere nationale Ermächtigungsgesetze erlassen.
Die nachträgliche Variante: Hochrisiko statt Verbot
Systeme zur nachträglichen biometrischen Fernidentifizierung fallen nicht unter das Verbot, sondern werden nach Anhang III Nummer 1 als Hochrisiko-KI eingestuft, soweit ihr Einsatz nach geltendem Recht zulässig ist.
Für den Einsatz im Rahmen von Strafverfolgungsermittlungen verlangt Artikel 26 Absatz 10 zusätzlich eine vorherige oder binnen 48 Stunden nachgeholte Genehmigung durch eine Justiz- oder Verwaltungsbehörde, deren Entscheidung gerichtlich überprüfbar ist.
Ausgenommen ist nur der Fall, dass das System lediglich der erstmaligen Identifizierung eines potenziellen Verdächtigen auf Grundlage objektiver, nachprüfbarer Tatsachen dient. Bei Ablehnung müssen Einsatz sofort gestoppt und Daten gelöscht werden; eine ausschließlich automatisierte, für die betroffene Person nachteilige Entscheidung ist untersagt.
Politischer Hintergrund
Das Europäische Parlament hatte sich in seiner ersten Lesung im Juni 2023 für ein vollständiges Verbot der Echtzeit-Fernidentifizierung durch Strafverfolgungsbehörden im öffentlichen Raum ausgesprochen, ohne die späteren Ausnahmen.
Deutschland und Österreich gehörten im Rat zu den Mitgliedstaaten, die am deutlichsten vor den Risiken warnten; Österreich reichte vor der finalen Einigung im Trilog vom 9. Dezember 2023 eine Erklärung ein, die die schließlich vereinbarten Ausnahmen als zu weitreichend kritisierte.
Zivilgesellschaftliche Organisationen wie Access Now und European Digital Rights (EDRi) bewerteten den finalen Text nach seiner Verabschiedung im März 2024 scharf. Access Now sprach von einem Text “voller Schlupflöcher, Ausnahmen und Sonderregelungen”, der es versäume, die gefährlichsten Formen biometrischer Massenüberwachung wirksam zu verbieten.
Wie umkämpft die Abgrenzung zwischen Echtzeit- und nachträglicher Identifizierung in der Praxis bleibt, zeigt ein aktueller Fall: Ungarn weitete im März 2025 den Einsatz von Gesichtserkennung per Gesetzesänderung auf zusätzliche Ordnungswidrigkeiten aus, darunter die Identifizierung von Teilnehmer:innen verbotener Versammlungen.
Mehrere Bürgerrechtsorganisationen werten dies als Verstoß gegen das Echtzeit-Verbot, weil das System durch direkte Anbindung an eine forensische Datenbank faktisch nah in Echtzeit arbeite und damit nicht unter die laxeren Regeln für nachträgliche Identifizierung falle.
Kontroversen und Kritik
Als Referenzfall für die Grundrechtsrisiken von Echtzeit-Gesichtserkennung wird in der europäischen Debatte regelmäßig ein britisches – nicht EU-rechtliches, aber strukturell einschlägiges – Verfahren zitiert.
Ed Bridges klagte gegen den Einsatz von Live-Gesichtserkennung durch die South Wales Police, die die Technologie ab Mai 2017 bei über 60 Einsätzen nutzte. Dabei erfasste sie nach Angaben der Organisation Liberty möglicherweise biometrische Daten von rund 500.000 Menschen ohne deren Zustimmung.
Der Court of Appeal stellte im August 2020 “fundamentale Mängel” im damaligen Rechtsrahmen fest und bejahte Verletzungen von Privatsphäre-, Datenschutz- und Gleichstellungsrecht, weil diskriminierende Effekte der Technologie nicht ausreichend geprüft worden waren. Der Fall dient Befürwortern eines strikten EU-Verbots als Beleg dafür, dass selbst scheinbar ausreichende nationale Schutzvorkehrungen erhebliche Grundrechtsverletzungen nicht verhindern.
Verwandte Begriffe
- Biometrische Daten – die Datengrundlage jeder Fernidentifizierung
- Biometrisches Kategorisierungssystem – ordnet Gruppen zu, statt Identität festzustellen
- Marktüberwachungsbehörde – Empfängerin der Melde- und Berichtspflichten
- EU AI Act – die Verordnung, deren Artikel 3, 5 und 26 diesen Begriff regeln
- Begriffsbestimmungen der KI-Verordnung – alle 68 Legaldefinitionen im Überblick
Quellenangaben
- Europäisches Parlament und Rat, 2024. Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz, Artikel 3 Nummer 52, Artikel 5 Absatz 1 Buchstabe d, Artikel 6 Absatz 3, Artikel 26 Absatz 11, Anhang III, Erwägungsgrund 26. Amtsblatt der Europäischen Union, 12. Juli 2024.
- European Digital Rights (EDRi), 2024. How to Fight Biometric Mass Surveillance After the AI Act: A Legal and Practical Guide.
- Access Now, 2024. The EU AI Act: a failure for human rights, a victory for industry and law enforcement. Pressemitteilung, 13. März 2024.
- Liberty, o. J. Legal Challenge: Ed Bridges v South Wales Police.